CVE-2026-63311
Təsvir
NLTK 3.10.0 versiyasından əvvəlki versiyalarda (təsirə məruz qalan versiyalar <= 3.9.4), nltk/pathsec.py faylındakı validate_network_url() funksiyasında server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi mövcuddur. _resolve_hostname() köməkçi funksiyası socket.getaddrinfo() zamanı OSError və ValueError xətalarını tutur və boş siyahı qaytarır; DNS həlli uğursuz olduqda, validasiya dövrü heç bir IP yoxlamasını yerinə yetirmir və funksiya açıq şəkildə uğursuz olur ki, bu da urlopen()-in validasiyasız davam etməsinə şərait yaradır. DNS həlli uğursuzluqlarını tətikləyə bilən və ya DNS rebinding metodundan istifadə edən hücumçu SSRF müdafiələrini yan keçə və bulud meta-məlumat son nöqtələri (məsələn, 169.254.169.254) daxil olmaqla məhdudlaşdırılmış şəbəkə resurslarına çata bilər.
Necə düzəltmək olar
- nltk nltk3.10.0 və ya daha yeni versiya
- nltk3.10.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nltk nltk | v < 3.10.0 | 3.10.0 |
| nltkPyPI | v < 3.10.0 | 3.10.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.